AeyeScan blog 第15回 なぜ米国サイバーセキュリティ株は V 字回復したのか？

　2026 年 3 月末、Anthropic の CMS 設定不備からドラフト記事が流出しました。サイバー攻撃能力で他モデルを大きく上回ると言われた Claude Mythos（当時はkapibaraという名前でした）が世界に与えた衝撃は、記憶に新しいですが…あれからもう、半年が経とうとしています。

　皆様、いかがお過ごしでしょうか。私は元気です。

● 米国市場にも衝撃を与えた「Mythos ショック」
　4 月に正式発表された Claude Mythos は、米国市場にも大きな衝撃を与えましたね。4 月上旬には、主要サイバーセキュリティ関連企業の株価が相次いで下落し、中には 2 桁（10 %以上）下落した銘柄も。世界中で「フロンティア AI が、サイバーセキュリティ企業を呑み込む」と感じたのも束の間、それらサイバーセキュリティ企業の株価は、5 月以降に反発しました。一体、何が起きたのでしょうか？

● 「勘違い」が株価下落を引き起こした？
　実は、多くの人が勘違いしていたこと、いや、今も勘違いしていることが大きな１つの原因となっています。「高いサイバー攻撃能力をもった生成 AI モデルは、サイバーセキュリティ（防御）能力も高いはずだ」という“勘違い”です。例えば、こんな三段論法です。

　１．AI は脆弱性を発見する能力が高い
　２．セキュリティベンダーは、その高い脆弱性発見能力をウリにしている
　３．AI は、セキュリティベンダーを代替する競合となる（セキュリティベンダーの売上が減る）

　これは（結果を見ると）勘違いだったわけですが、身の回りのことで考えてみれば “当然” の結果だった、とも言えます。

　例えばサッカーの話。

　世界最高峰のサッカー選手であるメッシや Ｃ・ロナウドは、確かに攻撃力（得点力）では抜群のパフォーマンスを発揮します。では、彼らは、同じように世界最高のゴールキーパーになれるのでしょうか？

● 株価の V 字回復は“必然”だった
　恐らく、彼らがゴールキーパーにポジションを変えたら、代表選手にもなれないはず。攻撃と防御は、それくらい「全く違うゲーム」だということです。

　元々、セキュリティの世界では「攻撃と防御の非対称性」という概念があります。攻撃側は、多くの攻撃（チャレンジ）を行って１回でも成功すれば「成功」になる。一方の防御側は、無限に迫りくる攻撃を全て防ぎきることでようやく「成功」になる。どこまで技術が進化しても、防御側は常に不利なゲームの中で頑張るしかないんだ、ということですね。

　サイバー攻撃能力の高い生成 AI が、必ずしもサイバーセキュリティ（防御）で同様のパフォーマンスを発揮するとは限りません。生成 AI がサイバー攻撃をする時、無限回数のチャレンジを行って１回でもセキュリティを突破できれば「すごいモデル」と評価されるでしょう。しかし、生成 AI に防御を任せた時、高度な攻撃を１回だけ防ぐことができても「すごいモデル」とは言えません。つまり、生成 AI がセキュリティベンダー（製品）を代替する、という三段論法が間違っていたわけです。

　さらに、Claude Mythos へのアクセスを許可された Project Glasswing 参画企業の研究からも、生成 AI のモデル性能自体より、それを専門家が上手くコントロールすること（ハーネスエンジニアリング）の方が、パフォーマンス向上に重要であるという事実が分かってきた。同時に、フロンティア AI 企業（OpenAI や Anthropic 等）も、セキュリティベンダーを駆逐するのではなく、彼らを支援する側に回る姿勢を見せた。

　これら複数の要因が重なって、生成 AI 時代のセキュリティ対策は、引き続きサイバーセキュリティ関連企業の存在感は揺らがず、むしろ強くなっていく見通しが立ったことで、関連銘柄の株価は V 字回復を果たした、というわけです。

● 確率論のセキュリティ、決定論のセキュリティ
　ここで、セキュリティ対策を「確率論的対策」と「決定論的対策」の 2 つに分けて、AI の使いどころを考えてみましょう。これらを混同していると、AI への投資・AI を利用したセキュリティ対策の失敗に繋がりかねませんし、上手く「ラク」するためには重要なポイントです。

　「確率論的対策」とは、当たりを探す仕事（対策）です。膨大な情報・データから、ノイズをかき分けて問題を見つける仕事は、人間をはるかに上回るスピードを誇る（しかも疲れない）AI がパワーを発揮するところ。例えば、EDR / XDR による振る舞い検知・SIEM によるアラート相関分析・WAF による Bot 検知など「検知・予測」の領域、あるいはペネトレーションテスト等の「一点突破」型の領域が挙げられます。誤解を恐れずに言えば、失敗しても OK・数打って当たれば OK、な領域です。

　一方の「決定論的対策」とは、間違いを探す仕事（対策）です。網羅性・再現性が重要で、証跡や説明が求められる仕事は、人間にとってもツラいですが、AI の不確実性がアダになりがち。例えば、セキュリティ診断による脆弱性検出・SBOM による脆弱性突合・CSPM による権限設定の確認など「判定・突合」の領域が該当します。これらの仕事は「間違い（問題）がないことを証明する仕事」とも言え、同じ入力に対して同じ出力が得られること（再現性）や、見るべき箇所を全てカバーしていること（網羅性）もシビアに見る必要があります。

　ドリブルやシュートが上手いプレイヤーはフォワード（攻撃）に配置し、スタミナと正確性に秀でたプレイヤーはディフェンス（防御）に配置することで、チームとしてのバランスが「ととのう」、そしてチーム力も底上げされる。
同じように、AI が得意な領域・人間よりも高いパフォーマンスを発揮できる「確率論的セキュリティ対策」は AI に任せ、AI とロジックを上手く融合させる「決定論的セキュリティ対策」は人間がケツをもつことで「ととのう、セキュリティ」を実現する。

　古くから、適材適所という言葉はあり「材」は人材を指すことが多かったものの、AI 前提時代には AI／生成 AI も立派な「材」ですよね。生成 AI のおかげ（？）で人間が解雇される時代ですから…。

　人と AI とが、それぞれに適したセキュリティ対策にアサインされて初めて、セキュリティの「仕組みが、ととのう」状態を作れるのではないか。最近はそんなことを考えています。

● 決定論的セキュリティ対策の要諦
　確率論の方は生成 AI にまるっと任せるとして、人間がケツを拭くべき決定論的セキュリティ対策のポイントは、ここまでに紹介した網羅性（やるべきことをやる）、再現性（同じ入力には同じ出力）に加えて、継続性（常に守られている状態を作ること）にあります。

　限りある工数・予算・時間を上手く使いながら、網羅的・継続的に再現性あるセキュリティ対策（脆弱性診断）を実現する1つの解決策として、弊社では「いつでも・誰でも・好きなだけ」診断できる Web アプリケーション診断 SaaS「AeyeScan」を開発・提供しています。

　診断を “イベント” から “習慣” に変えることで、セキュリティの「仕組みが、ととのう」状態をつくりたい！ とお考えの方、リソースの制約から解き放たれて決定論的対策を前に進めたい方、ぜひご連絡ください。

　また、もっと人間と AI について語り合いたい方、ぜひ Web 会議や展示会などでお話ししましょう（笑）

元の記事を読む